Google hat die Veröffentlichung des webbasierten Browsers Chrome 107 vorgestellt. Gleichzeitig steht eine stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage von Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die permanente Aktivierung der Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Upgrade benötigen, wird gesondert der Extended Stable-Zweig unterstützt, der 8 Wochen lang aktualisiert wird. Die nächste Version von Chrome 108 ist für den 29. November geplant.
Hauptänderungen in Chrome 107:
- Die Unterstützung des ECH-Mechanismus (Encrypted Client Hello) wurde hinzugefügt, der die Entwicklung von ESNI (Encrypted Server Name Indication) fortsetzt und verwendet wird, um Informationen über TLS-Sitzungsparameter, wie den angeforderten Domänennamen, zu verschlüsseln. Der Hauptunterschied zwischen ECH und ESNI besteht darin, dass bei ECH anstelle der Verschlüsselung auf Ebene einzelner Felder die gesamte TLS-Nachricht ClientHello verschlüsselt wird, was das Auslaufen über Felder verhindert, die von ESNI nicht erfasst werden, zum Beispiel das PSK-Feld (Pre-Shared Key). ECH verwendet außerdem den DNS-Eintrag HTTPSSVC anstelle eines TXT-Eintrags, um Informationen über den öffentlichen Schlüssel zu übertragen, und setzt zur Beschaffung und Verschlüsselung des Schlüssels authentifizierte Ende-zu-Ende-Verschlüsselung auf Basis des HPKE-Mechanismus (Hybrid Public Key Encryption) ein. Zur Verwaltung der Aktivierung von ECH wurde die Einstellung "chrome://flags#encrypted-client-hello" vorgeschlagen.
- Die Unterstützung der hardwarebeschleunigten Dekodierung von Videos im H.265-Format (HEVC) wurde aktiviert.
- Die fünfte Phase der Reduzierung von Informationen im HTTP-Header User-Agent und in den JavaScript-Parametern navigator.userAgent, navigator.appVersion und navigator.platform wurde aktiviert, um die Informationen zu reduzieren, die zur passiven Identifizierung von Nutzern verwendet werden können. In Chrome 107 wurde die Plattform- und Prozessorinformation in der User-Agent-Zeile für Desktop-Nutzer reduziert, und der Inhalt des JavaScript-Parameters navigator.platform wurde eingefroren. Die Änderung ist nur in den Versionen für die Windows-Plattform bemerkbar, für die die spezifische Plattformversion durch "Windows NT 10.0" ersetzt wurde. In Linux hat sich der Inhalt der Plattform im User-Agent nicht geändert.
Früher wurden die Versionszahlen des Browsers MINOR.BUILD.PATCH durch 0.0.0 ersetzt. Zukünftig sollen im Header nur noch Informationen über den Namen des Browsers, die Hauptversion des Browsers, die Plattform und den Gerätetyp (Mobiltelefon, PC, Tablet) angezeigt werden. Um zusätzliche Daten wie die genaue Version und erweiterte Plattforminformationen zu erhalten, muss die API User Agent Client Hints verwendet werden. Für Websites, denen die neuen Informationen nicht ausreichen und die noch nicht bereit sind, auf User Agent Client Hints umzusteigen, wurde bis Mai 2023 die Möglichkeit bereitgestellt, den vollständigen User-Agent zurückzugeben.
- In der Android-Version wird die Unterstützung der Plattform Android 6.0 eingestellt, für den Betrieb des Browsers ist nun mindestens die Version Android 7.0 erforderlich.
- Das Design der Benutzeroberfläche zur Verfolgung des Downloadstatus wurde geändert. Anstelle der unteren Leiste mit Informationen zum Downloadfortschritt wurde ein neuer Indikator in die Adressleiste integriert, der bei einem Klick den Fortschritt der Dateidownloads und die Historie mit einer Liste bereits heruntergeladener Dateien anzeigt. Im Gegensatz zur unteren Leiste wird die Schaltfläche ständig in der Leiste angezeigt und ermöglicht einen schnellen Zugriff auf die Downloadhistorie. Die neue Oberfläche wird derzeit standardmäßig nur einer Teilmenge von Nutzern angeboten und wird auf alle ausgeweitet, sofern keine Probleme auftreten.
- Benutzern von Desktop-Systemen wird die Möglichkeit geboten, Passwörter, die in einer CSV-Datei gespeichert sind, zu importieren. Zuvor konnten Passwörter aus einer Datei nur über den Dienst passwords.google.com in den Browser übertragen werden; nun kann dies auch über den im Browser integrierten Passwortmanager (Google Password Manager) erfolgen.
- Nach der Erstellung eines neuen Profils durch den Benutzer wird eine Eingabeaufforderung angezeigt, die anbietet, die Synchronisierung zu aktivieren und zu den Einstellungen zu wechseln, über die der Profilnamen geändert und ein Farbschema ausgewählt werden kann.
- In der Android-Version wird eine neue Benutzeroberfläche für die Auswahl von Mediendateien zum Hochladen von Fotos und Videos angeboten (anstatt einer eigenen Implementierung wird die standardmäßige Benutzeroberfläche des Android Media Pickers verwendet).
- Die automatische Widerrufung der Erlaubnis zur Anzeige von Benachrichtigungen für Websites wurde gewährleistet, die beim Versenden störender Benachrichtigungen und Nachrichten aufgefallen sind. Darüber hinaus wurden für solche Websites die Anfragen zur Erteilung von Berechtigungen für den Versand von Benachrichtigungen ausgesetzt.
- Im API Screen Capture wurden neue Eigenschaften hinzugefügt, die mit dem Teilen des Bildschirms zusammenhängen: selfBrowserSurface (ermöglicht es, den aktuellen Tab beim Aufruf von getDisplayMedia() auszuschließen), surfaceSwitching (ermöglicht das Ausblenden des Schaltfläche zum Wechseln von Tabs) und displaySurface (ermöglicht es, das Teilen auf einen Tab, ein Fenster oder einen Bildschirm zu beschränken).
- Im API Performance wurde die Eigenschaft renderBlockingStatus hinzugefügt, um Ressourcen zu bestimmen, wegen derer das Rendering der Seite bis zum Abschluss deren Ladens ausgesetzt ist.
- Im Modus der Origin Trials (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach erfolgreicher Registrierung und Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
- Ein deklaratives API PendingBeacon, das das Senden von Server Daten, die keine Antwort erfordern (beacon), verwaltet. Das neue API ermöglicht es, das Senden solcher Daten an den Browser zu delegieren, ohne genau zu einem bestimmten Zeitpunkt Sendebetrieb aufrufen zu müssen, zum Beispiel zur Übertragung von Telemetriedaten nach dem Schließen der Seite durch den Benutzer.
- Im HTTP-Header Permissions-Policy (Feature Policy), das zur Delegierung von Befugnissen und zur Aktivierung erweiterter Funktionen verwendet wird, wurde die Unterstützung für den Wert „unload“ hinzugefügt, mit dem die Event-Handler für das Ereignis „unload“ auf der Seite deaktiviert werden können.
- Im Tag wurde die Unterstützung für das Attribut „rel“ hinzugefügt, das ermöglicht, beim Navigieren über Webformulare den Parameter „rel=noreferrer“ zum Deaktivieren des Übertragens des Referer-Headers oder „rel=noopener“ zum Deaktivieren des Festlegens der Eigenschaft Window.opener und des Verbots des Zugriffs auf den Kontext, aus dem die Navigation vorgenommen wurde, anzuwenden.
- Im CSS Grid wurde die Unterstützung für die Interpolation der Eigenschaften grid-template-columns und grid-template-rows hinzugefügt, um einen sanften Übergang zwischen verschiedenen Zuständen des Grids zu ermöglichen.
- Es wurden Verbesserungen bei den Tools für Webentwickler vorgenommen. Die Möglichkeit zur Anpassung von Tastenkombinationen wurde hinzugefügt. Die Inspektion des Speichers von C/C++-Anwendungsobjekten, die in das Format WebAssembly umgewandelt wurden, wurde verbessert.
Neben den Neuerungen und Fehlerkorrekturen wurden in der neuen Version 14 Sicherheitsanfälligkeiten beseitigt. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Testwerkzeuge wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen würden, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auf dem System auszuführen, wurden nicht festgestellt. Im Rahmen des Programs zur Vergabe von Geldprämien für die Entdeckung von Sicherheitsanfälligkeiten zahlte Google für die aktuelle Version insgesamt 10 Prämien in Höhe von 57.000 US-Dollar (eine Prämie über 20.000 $, eine über 17.000 $ und eine über 7.000 $, zwei Prämien à 3.000 $, drei Prämien à 2.000 $ und eine Prämie über 1.000 $). Die Höhe einer einzelnen Prämie ist derzeit noch nicht festgelegt.
Quelle: opennet.ru
